佐川急便株式会社は2026年10月23日、Webサービス「お荷物問い合わせサービス」への不正アクセスによる個人情報流出の調査状況（第5報）を発表し、ブラウザ上での貨物追跡を再開した。流出した可能性のあるデータは重複整理後で最大5,323万件に上り、2026年6月21日から9月30日までに預かった荷物の送り状情報や会員登録データが対象となっている。
最大5,323万件の流出可能性とWeb機能再開・停止の継続状況
2026年9月30日に発覚した佐川急便のシステムインシデントは、調査の進展に伴い、流出した可能性がある情報の規模と範囲が明らかになった。同社は安全性の確認を経て一般利用者向けの追跡画面を復旧させたものの、基幹連携を担うAPIや集荷受付機能の遮断を継続している。
インシデント発覚から第5報公表までの時系列
不正アクセスの検知からサービス制限、第5報での一部再開に至る経緯は以下の通りである。
| 日時 | 発生事象・対応内容 | 影響範囲 | 公表状況 |
|---|---|---|---|
| 2026年9月30日 | 「お荷物問い合わせサービス」への不正アクセス確認（午前7時30分） | 被害拡大防止のため該当Web機能へのアクセス制限を実施 | 第1報公表 |
| 2026年10月1日 | 調査の結果、顧客の個人情報が外部へ流出した可能性を把握 | 荷物追跡APIや飛脚宅配便受付など主要Web機能計9種を停止 | 第2報・第3報公表、専用窓口開設 |
| 2026年10月9日 | 外部セキュリティ専門機関と連携した侵入経路調査とデータ特定 | 停止機能のセキュリティ改修とデータ重複の整理を継続 | 第4報公表 |
| 2026年10月23日 | 「インターネット貨物のお荷物問い合わせ」の画面照会を再開 | 最大5,323万件の流出懸念を公表。APIや集荷受付等8機能は停止継続 | 第5報公表 |
2026年9月30日に不正なアクセスを検知した佐川急便は、直ちにサービスの遮断を実施した。その後の調査により、流出した可能性がある送り状データは、2026年6月21日から9月30日までの約100日間に預かった荷物のものであることが明らかになった。
流出の可能性があるデータの内訳と除外項目
流出の可能性があるデータは、配送伝票から荷主の契約情報、個人向け会員基盤にまで及んでいる。
- 荷物の送り状データ: 2026年6月21日から9月30日までの約100日間に預かった荷物の依頼主および届け先の氏名、住所、電話番号
- 運賃契約者情報: 佐川急便と運賃契約を締結している顧客の氏名、住所、電話番号
- 「スマートクラブ」会員情報: 登録顧客の氏名、住所、電話番号、メールアドレス、スマートクラブ会員ID
公表された最大5,323万件という数値は、同一顧客の複数回利用などの重複を一定程度整理した現時点の最大件数であり、実際の対象人数を示すものではない。手書きの送り状で預かった荷物のデータは今回の流出対象に含まれていない。公式発表および調査報道において、クレジットカード情報やWebサービスのログインパスワードの流出は確認されていない。
現時点で本件に起因する直接的な不正利用被害は報告されていないが、氏名・電話番号・配送履歴が悪用され、佐川急便を装った不審なショートメッセージ（SMS）やフィッシングメールが配信される危険性が高まっている。同社は専用コールセンター（0120-28-3449）を設置し、順次対象顧客への案内を進めている。
再開された機能と停止を継続する8つのWebサービス
2026年10月23日時点でセキュリティ対策を完了し再開されたのは、Webブラウザから個別に送り状番号を入力して確認する「インターネット貨物のお荷物問い合わせ」のみである。
外部システムとの自動連携やオンライン受付を担う以下の8機能は、引き続きサービスの停止が継続している。
- インターネット貨物のお荷物問い合わせAPI
- 飛脚宅配便受付
- 飛脚往復便受付
- 飛脚往復便（ゴルフ）受付
- 商品回収返金サービス
- 受取先変更（配達予定からの事前受取先変更）
- 受取先変更（不在発生後の受取先変更）
- 回収くん
一般ユーザーによる単発の配送状況照会は可能になったものの、業務用途での自動照会や各種集荷依頼のオンライン受付は遮断されたままであり、実務上の制約が続いている。
参考記事: 佐川急便、Web9機能停止と100日分流出懸念｜追跡API遮断への実務対応
外部API遮断と情報漏えい懸念がEC・運送各社に与える実務打撃
物理的なトラック運行やドライバーによる集荷・配達は継続されているものの、データ連携機能が停止した状態が長引くことで、荷主企業やサプライチェーンの各プレイヤーには異なる負荷が生じている。
EC事業者：注文管理システム連携の寸断と問い合わせ窓口の逼迫
EC事業者にとって最も直接的な打撃となっているのが、「インターネット貨物のお荷物問い合わせAPI」の停止継続である。
多くの通販事業者やECプラットフォームは、注文管理システム（OMS）やユーザーのマイページに配送追跡APIを組み込み、配送ステータスを自動更新している。APIが遮断されたことにより、購入者がショップのマイページ上で配送進捗を確認できない状態が続いている。
通信販売大手のジャパネットたかたでは、佐川急便のシステム停止に伴い、会員向けマイページの「配送状況を確認する」機能が一部利用できなくなっている旨を告知し、自社システムからの漏えいはないことと不審な連絡への注意喚起を行った。
API経由でのステータス反映が止まったことで、EC事業者のカスタマーサポートには「商品が発送されているか」「いつ届くのか」といった問い合わせが集中している。一般向けのWeb照会画面が再開したため手動での番号検索は可能になったものの、数万件規模の出荷を抱える事業者では個別検索による確認作業に膨大な工数を割かざるを得ない。
受取人側でのWeb受取先変更機能も停止しているため、配送先の変更や不在時の転送手配をショップ側が電話や営業所窓口経由で代行する運用が発生している。
運送事業者・3PL：自動集荷指示の途絶と手作業代替オペレーション
佐川急便の宅配網を利用して出荷業務を代行する3PL企業や倉庫事業者では、日常の出荷手配ラインに支障が出ている。
Web上の「飛脚宅配便受付」や「回収くん」が停止しているため、これまで基幹システムからCSV連携やWeb送信で自動化されていた集荷指示が実行できない。そのため、地域の担当営業所への直接電話連絡やFAX送信、送り状伝票の手作業発行といった代替運用が長期化している。
物理的な集荷・配達体制に問題はないものの、デジタルデータでの事前連携ができないことで、出荷確定データの反映に遅延が生じている。倉庫現場では、集荷トラックの到着に合わせた荷揃えや検品スケジュールの前倒しを余儀なくされ、作業計画の再調整が日常業務の負担となっている。
SaaS・テクノロジーベンダー：配送データ連携の脆弱性と設計見直しの要請
配送追跡や荷札発行の機能をクラウド上で提供するSaaS事業者や物流テック企業は、外部APIの遮断に対する脆弱性に直面している。
大手キャリアのAPI仕様に依存した密結合な設計をとっていたシステムでは、キャリア側がセキュリティインシデントによってエンドポイントを遮断した際、配下のすべての荷主に対して一括でサービス停止が波及する。外部APIが応答しない場合でも自社システム全体を停止させず、フォールバック（代替手段）として手動CSV照会や別キャリアへの自動切り替えを可能にする冗長化設計が急務となっている。
荷主企業からは「預けた個人情報がどのように保護されているか」「連携先キャリアのインシデント時にデータが漏えいしないか」についての監査要求が強まっており、データ暗号化やアクセスログ管理の厳格化が求められている。
参考記事: 佐川急便・ヤマト運輸で相次ぎ不正アクセス｜佐川は約100日分の情報流出懸念
LogiShiftの視点：API遮断が突きつけるデータ連携の見直しと事業者選定基準の変化
今回のインシデントは、物流DXの推進によって配送データのAPI連携が高度化した一方、情報インフラとしての依存度が極めて高くなっていた実態を浮き彫りにした。
約100日分・最大5,323万件というデータ規模は、主要宅配便の取扱実績に照らし合わせても、国内のEC利用世帯や法人荷主の大部分を網羅する量である。物理的なトラック輸送が滞りなく動いていたとしても、APIが停止するだけで荷主の注文管理やカスタマー対応が機能不全に陥るという現実は、物流システムにおける「単一障害点（SPOF）」が物理拠点からWeb接点へと移行したことを示している。
物流企業の選定基準そのものにも変化が生じている。従来、荷主が運送事業者を選定する際の決定打は運賃水準、集荷締め切り時刻、リードタイムの3点であった。しかし、今後はキャリア側のAPIセキュリティ水準、不正アクセス検知時のネットワーク遮断基準、そして情報系障害時におけるデータ復旧速度が、サプライチェーンの維持に関わる評価軸となる。
経済産業省がサプライチェーン全体のセキュリティ対策強化を進める中、外部連携インターフェースを持つ運送事業者には、ゼロトラストを前提としたAPIゲートウェイの保護と、取引先に対する透明性の高いインシデント情報開示が取引継続の前提条件となっていく。
参考記事: サイバーセキュリティとは？物流現場を守る基礎知識と最新対策完全ガイド
荷主・物流担当者が明日から着手すべき確認事項
佐川急便のWeb機能停止が部分的に継続している状況を踏まえ、荷主企業および物流現場の担当者は以下の対応を速やかに進める必要がある。
- 自社顧客への注意喚起と問い合わせ導線の整備
佐川急便を騙る不審な不在通知SMSやフィッシングメールが発生するリスクに備え、自社の購入者に対して「配送状況確認時のURLクリックに注意すること」「正規の問い合わせ手順」をアナウンスする。一般向けのWeb追跡画面が再開したため、顧客からの配送ステータス確認に対しては、自社OMSの自動表示に頼らず個別照会URLを案内するフローへ切り替える。
- 外部API遮断を前提としたシステム耐障害性の検証
現在利用しているWMSやOMSにおいて、配送追跡APIや集荷受付APIが遮断された際にシステム全体が停止しない設計になっているかを確認する。API停止時でも手動での送り状番号照会やCSVによる配送データ一括取り込みなど、代替手段による業務継続が可能な運用手順をあらかじめマニュアル化しておく。
- 運送委託先との障害時連絡体制とアナログ手順の確認
集荷依頼や受取先変更などのWeb受付機能が停止した事態を想定し、担当営業所との直接の連絡網（電話・FAX・専用窓口）を再整理する。データ連携が復旧するまでの間、出荷締め時刻の調整や手書き伝票の予備確保など、現場レベルで出荷を止めないための緊急オペレーションを運送事業者と擦り合わせておく。
出典: 物流（ロジスティクス）ニュース ＬＮＥＷＳ
出典: 佐川急便株式会社
出典: ITmedia NEWS
出典: ジャパネットたかた
